点击上方“爱活网”可以订阅哟！↑在众多计算机安全攻击手法中，最被小编不齿且认定低端的一类叫“社会工程”攻击，这类攻击手法就好比是骗子上街去，直接问老人，他的银行卡密码是多少——当然，其中奥义在于骗术。一个真正牛掰的骗子就是要骗得不留痕迹，而且不会轻易被对方或警察发现。上周末闹得沸沸扬扬的XcodeGhost，就是这样一位骗子。而且它的段位明显比那些需要在终端设备上感染系统或软件的木马高明很多。XcodeGhost的出现让人类相信，即便是纯封闭的iOS苹果花园，要混进去也并不是那么有难度。这位骗子究竟是怎么混进苹果花园的？按照普通人类对iOS的理解，手机是苹果造的，系统是苹果造的，处理器都是苹果设计的，第三方应用需要经由苹果官方审核才能上架，封闭成这样，哪位“骗子”有这种机会混进去呢？以往混进去的那些病毒木马基本上都需要用户自行对iOS系统进行越狱，而XcodeGhost如上所述，跟他们不是一个级别：对iOS应用开发者而言，他们要打造一款应用，首先需要获得苹果的开发工具。所谓的Xcode就是这么个开发工具，它是开发OSX与iOS应用最快捷的方式。按理，Xcode应该从苹果官方下载，但按照乌云网的白帽客所说“许多开发人员觉得从MacAppStore下载官方插件的速度”很慢，所以国内的开发者更喜欢从第三方下载Xcode。大约在半年之前，就有个叫coderfun的用户“秉着方便人民群众的原则”，在百度网盘上传了Xcode，而且还进行版本更新，供众开发者下载。按照有中国特色的互联网特点，从百度网盘下载这个超过3.5GB的工具必然比从MacAppStore下载来得快。这位“有着共享精神的侠客”随后还在很多iOS开发论坛上推广了自己上传的Xcode资源。（百度网盘上，coderfun同学的共享：想高速下载Xcode吗？来我这里吧）9月14日，国家互联网应急中心（CNCERT）发布一则预警通报，宣称“开发者使用非苹果官方渠道的XCODE工具开发苹果应用程序时，会向正常的苹果APP中植入恶意代码。被植入恶意程序的苹果APP可以在AppStore正常下载并安装使用”。这则公告当时没有引起公众和媒体的重视。从腾讯安全应急响应中心后来发布的声明来看，腾讯早在9月12日已经发现该问题，并反馈给了国家互联网应急中心。9月17日，微博有人发博文称，有开发者用了非官方渠道下载的Xcode编译出来的应用被注入第三方代码，会向某个网站回传数据，乌云知识库当天发布分析报告。18日，硅谷安全公司PaloAlto很敏锐地觉察到了这个问题，发布分析报告。两者同时指向，网易云音乐（v.2.8.3）感染了这种恶意代码，iOS用户在使用这个版本的网易云音乐时，应用会将手机隐私信息上传至某个服务器。随后这则消息正式炸锅，且在整个周末，已知因此感染恶意代码的iOS应用上升到数十款，包括了滴滴打车、中国联通网上营业厅、中信银行行动卡空间、51卡保险箱、我叫MT、高德地图、同花顺等等，这些用户数目过亿的iOS应用，甚至还包括白癜风治疗那里好北京白癜风医院有哪些
